Implementasi Middleware Verifikasi JWT untuk Mencegah Akses Tidak Sah pada API: Studi Kasus di Perusahaan XYZ

Abstract

Sistem API modern yang menggunakan JSON Web Token (JWT) rentan terhadap serangan token tampering apabila tidak menerapkan verifikasi tanda tangan digital. Penelitian ini mengidentifikasi celah keamanan pada sistem API Perusahaan XYZ di mana server mempercayai payload token tanpa verifikasi signature, sehingga memungkinkan manipulasi token oleh pengguna internal. Untuk mengatasinya, dikembangkan middleware verifikasi JWT menggunakan Node.js 18, TypeScript, dan library jsonwebtoken v9.0.2 dengan algoritma RS256. Penelitian menggunakan metode Design Science Research (DSR), dengan pemetaan ancaman melalui kerangka STRIDE dan evaluasi melalui pengujian black-box terhadap enam skenario. Hasil pengujian menunjukkan middleware menolak 100% token yang dimodifikasi, mencakup manipulasi claims payload, serangan alg:none, dan substitusi algoritma RS256 ke HS256, tanpa false positive pada token valid. Dua skenario tambahan, token kedaluwarsa dan token pasca-logout, memvalidasi bahwa akses melalui token tidak berlaku telah tertangani oleh lapisan pemeriksaan masa berlaku yang keandalannya bergantung pada verifikasi signature tersebut.